GuardDuty AI Protection erkennt Cost Harvesting und Prompt I

Amazon Web Services hat ein dediziertes Bedrohungserkennungsmodul namens GuardDuty AI Protection veröffentlicht, das seit Mitte Juli allgemein verfügbar ist und Amazon Bedrock- und SageMaker-AI-Workloads auf Anomalien, Cost-Harvesting-Angriffe und Prompt-Injection-Versuche überwacht. Die Funktion erweitert den bestehenden GuardDuty-Bedrohungserkennungsdienst in den generativen KI-Stack und gibt Sicherheitsteams speziell entwickelte Werkzeuge für eine Risikokategorie, die mit der Einführung von KI in Unternehmen gewachsen ist.

Die Funktion analysiert CloudTrail-Management- und Datenereignisse in Bedrock, Bedrock AgentCore und SageMaker und identifiziert verdächtige Aktivitäten wie ungewöhnliche Aufrufmuster, übermäßigen GPU- und Token-Verbrauch, der auf Missbrauch von Anmeldeinformationen hindeutet, sowie Prompt-Injection-Versuche, die durch die Integration mit Amazon Bedrock Guardrails gekennzeichnet werden. Bedrohungsergebnisse werden direkt an AWS Security Hub weitergeleitet und bieten eine einheitliche Ansicht zusammen mit bestehenden GuardDuty-Erkennungen. Nach der Aktivierung erstellt GuardDuty automatisch einen CloudTrail-servicelinked Kanal, um die relevanten Daten zu streamen, sodass keine manuelle Pipeline-Einrichtung erforderlich ist.

Für Organisationen, die generative KI auf AWS bereitgestellt haben, adressiert der Dienst ein wachsendes betriebliches Risiko: Sicherheitsteams haben oft keine Einblicke in KI-spezifische Bedrohungen, da bestehende Cloud-Sicherheitstools nicht dafür ausgelegt sind, Modellaufrufmuster, Token-Ökonomien oder Angriffe auf Prompt-Ebene zu verstehen. GuardDuty AI Protection behebt dies, indem es Bedrohungserkennungsmodelle anwendet, die speziell für die KI-Inferenzebene entwickelt wurden, und nicht für allgemeine Berechnungen. Der grundlegende GuardDuty-Dienst überwacht bereits CloudTrail-Managementereignisse auf verdächtige Aktivitäten in KI-Workloads, wie das ungewöhnliche Entfernen von Bedrock-Sicherheitsvorkehrungen, und die neue AI Protection-Schicht fügt dieser Basislinie Datenereignistiefe hinzu.

GuardDuty AI Protection und die Cost-Harvesting-Bedrohung

Eines der greifbareren Risiken, das GuardDuty AI Protection adressiert, ist Cost Harvesting, eine Technik, bei der Angreifer gestohlene Anmeldeinformationen verwenden, um Inferenz auf dem Konto eines Opfers auszuführen. Da generative KI-Workloads rechenintensiv sind, kann ein kompromittierter API-Schlüssel in kurzer Zeit erhebliche GPU- und Token-Gebühren verursachen. AWS hat dieses Muster als eine spezifische KI-Bedrohung hervorgehoben, die sich von traditionellem Resource Hijacking unterscheidet, angesichts der Geschwindigkeit, mit der Inferenzkosten im Vergleich zu herkömmlichen Berechnungen anfallen. Ein einzelner kompromittierter Bedrock-Endpunkt, der ein großes Sprachmodell ausführt, kann Tausende von Dollar an Inferenzguthaben verbrauchen, bevor ein Team ungewöhnliche Abrechnungsmuster bemerkt.

Die Schutzschicht erfordert keine benutzerdefinierten Tools oder manuelle Regelkonfiguration. Kunden aktivieren sie über die GuardDuty- oder Security Hub-Konsole. Organisationen, die AWS Organizations verwenden, können die Funktion zentral über Konten hinweg ausrollen. Eine 30-tägige kostenlose Testversion ist für bestehende GuardDuty-Kunden verfügbar.

Breitere Sicherheitserweiterung

GuardDuty AI Protection ist einer von drei Sicherheitsstarts, die AWS diesen Sommer herausgebracht hat. Neben dem KI-Bedrohungserkennungsmodul hat das Unternehmen KI-gestützte Untersuchungen in GuardDuty als Vorschau in 10 AWS-Regionen veröffentlicht, eine Funktion, die die Triage von GuardDuty-Ergebnissen automatisiert, indem sie Kontext und verwandte Kontoaktivitäten analysiert, um echte Bedrohungen von harmlosen Störungen zu unterscheiden. Das Untersuchungssystem verwendet Wissensgraphen und Bedrohungsinformationen, um Aktivitäten über Ergebnisse hinweg zu korrelieren, ein Ansatz, der direkt das Problem der Alarmmüdigkeit adressiert, das die Incident-Reaktion in Sicherheitsbetriebszentren verlangsamt.

AWS hat auch das Security Hub AI-Inventar allgemein verfügbar gemacht, das eine kontinuierlich aktualisierte Ansicht von KI-Assets, Modellen, Agenten und Pipelines im gesamten Unternehmen bietet. Dieses Inventar gibt Sicherheitsteams eine einzige Quelle der Wahrheit darüber, welche KI-Ressourcen in ihren AWS-Konten vorhanden sind, und schließt eine Sichtbarkeitslücke, die oft dazu führt, dass Schatten-KI-Bereitstellungen nicht überwacht werden.

Das Timing dieser Veröffentlichungen spiegelt eine breitere Marktrealität wider. Wenn Unternehmen generative KI-Anwendungen von experimentellen Piloten in die Produktion überführen, erweitert sich die Angriffsfläche entsprechend. Das Unternehmen hat diese Fähigkeiten positioniert, um diese Sichtbarkeitslücke zu schließen, ohne dass Teams Erkennungslogik von Grund auf neu erstellen müssen.

Multi-Cloud und Wettbewerbspositionierung

Das AI Protection-Modul fügt sich in eine breitere AWS-Strategie ein, eine Multi-Cloud-Sicherheitskontrollinstanz zu werden. Zum ersten Mal hat AWS Security Hub die Überwachung auf Microsoft Azure ausgeweitet und entdeckt Azure-VMs, Container-Images, Function Apps und Identitäten. Diese Azure-Bewertungen folgen dem CIS Microsoft Azure Foundations Benchmark und geben Organisationen einen standardisierten Bewertungsrahmen über Clouds hinweg. Diese Multi-Cloud-Erweiterung positioniert Security Hub als konkurrierendes Angebot zu dedizierten Cloud-Sicherheits-Posture-Management-Tools von Anbietern wie Wiz, CrowdStrike und Palo Alto Networks.

Für Sicherheitsentscheider beseitigt die Verfügbarkeit von GuardDuty AI Protection einen blinden Fleck, der mit dem Wachstum der KI-bezogenen Cloud-Ausgaben dringlicher geworden ist. Allein die Cost-Harvesting-Erkennung adressiert einen Schmerzpunkt, der mit traditionellen Cloud-Sicherheitstools schwer zu mildern ist, da diese nicht darauf ausgelegt sind, das Kostenprofil eines Modellaufrufs oder die Abrechnungsauswirkungen eines kompromittierten Bedrock-API-Endpunkts zu verstehen. Eine Erkennungslücke, die zuvor eine benutzerdefinierte CloudTrail-Analyse und Anpassung von Anomalieschwellen erforderte, ist jetzt als Umschalter in der Konsole verfügbar.

Die Funktion integriert sich tief in das breitere AWS-Sicherheitsökosystem. Ergebnisse von GuardDuty AI Protection fließen in AWS Security Hub, wo sie mit anderen Cloud-Sicherheitserkennungen korreliert werden können. Das Unternehmen hat auch einen AI Security Best Practices-Standard innerhalb von Security Hub CSPM eingeführt, eine Reihe von 31 automatisierten Kontrollen, die Bedrock-, Bedrock AgentCore- und SageMaker-Workloads ohne manuelle Bewertungen gegen empfohlene Konfigurationen bewerten. Diese Kontrollen decken Netzwerkisolation, Verschlüsselung im Ruhezustand und bei der Übertragung, VPC-Konfiguration, KMS-Schlüsselverwendung, Anforderungen an private Container-Registries und Berechtigungsmanagement ab.

Erkennungsmethodik und Datenquellen

GuardDuty AI Protection analysiert zwei Kategorien von CloudTrail-Daten. Managementereignisse erfassen Änderungen an KI-Ressourcenkonfigurationen, wie das ungewöhnliche Entfernen von Bedrock-Sicherheitsvorkehrungen oder die Änderung von Modellzugriffsrichtlinien. Datenereignisse erfassen die Aufrufaktivität selbst, einschließlich Modellinferenzaufrufen, Token-Verbrauchsmustern und API-Nutzungsraten. Durch die Korrelation beider Ereignistypen kann das System zwischen einer Konfigurationsabweichung, die eine Sicherheitslücke öffnet, und einem aktiven Angriff, der eine solche ausnutzt, unterscheiden.

Der Prompt-Injection-Erkennungspfad funktioniert über die Bedrock Guardrails-Integration. Wenn ein Prompt-Versuch von Bedrock Guardrails blockiert wird, wird dieses Ereignis als GuardDuty-Ergebnis gemeldet, anstatt in der Modellinteraktionsebene isoliert zu bleiben. Dies ist wichtig für Organisationen, die eine Erkennungsabdeckung für die OWASP LLM Application Top 10-Risiken nachweisen müssen, insbesondere für die Kategorien Prompt Injection und Offenlegung vertraulicher Informationen.

Was es für Unternehmenssicherheitsteams bedeutet

Für Organisationen, die generative KI auf AWS bereitgestellt haben, reduziert GuardDuty AI Protection die Last, benutzerdefinierte Erkennungspipelines für KI-Workloads zu erstellen. Die automatische CloudTrail-Integration und Security Hub-Korrelation bedeuten, dass bestehende Sicherheitsbetriebsabläufe KI-Bedrohungserkennung ohne architektonische Änderungen aufnehmen können.

Bei der Prompt-Injection-Front fügt die Integration mit Bedrock Guardrails eine Erkennungsschicht an der Grenze der Modellinteraktion hinzu. Während Bedrock Guardrails bereits bestimmte Kategorien schädlicher Prompts blockieren, macht GuardDuty AI Protection den Versuch als Sicherheitsergebnis sichtbar, was für Compliance- und Incident-Reporting-Anforderungen wichtig ist. Diese Unterscheidung ist wichtig für regulierte Branchen, in denen die Erkennung und Meldung versuchter Angriffe eine Compliance-Anforderung und nicht nur eine Sicherheitsempfehlung ist.

Die Vorschau von KI-gestützten Untersuchungen in GuardDuty deutet darauf hin, dass AWS auch über den Analysten-Workflow nachdenkt. Anstatt Sicherheitsteams mit rohen Ergebnissen zu überfluten, korreliert das System automatisch Aktivitäten und trennt echte Bedrohungen von harmlosen Ergebnissen. Das 90-Tage-Kontextfenster, das von diesen Untersuchungen verwendet wird, ermöglicht es Analysten, ein Ergebnis durch verwandte Aktivitäten zurückzuverfolgen, ohne CloudTrail-Protokolle manuell zusammenzufügen.

Warum dies wichtig ist

Die Verfügbarkeit von GuardDuty AI Protection signalisiert, dass die Sicherheit von KI-Workloads von einem nachträglichen Einfall zu einer Produktkategorie geworden ist. Für Unternehmen, die generative KI auf AWS betreiben, schließt die Funktion eine Lücke, die traditionelle Cloud-Sicherheitstools nie abdecken sollten – die spezifischen Kosten-, Zugriffs- und Prompt-Ebenen-Risiken von Modellinferenz. Organisationen, die sie aktivieren, erhalten eine Erkennungsschicht, die direkt mit der finanziellen und operativen Gefährdung ihrer KI-Bereitstellungen korrespondiert, ohne benutzerdefinierte Instrumentierung hinzuzufügen oder ihren bestehenden Sicherheitsworkflow zu ändern.